Une nouvelle étude de Specops Software révèle que plus de 6 milliards de mots de passe volés ont été analysés au cours des 12 derniers mois, confirmant que le simple fait de choisir un mot de passe fort n’est plus suffisant pour protéger un compte contre les cyberattaques.
Cette masse de données volées provient de nombreuses violations de données, de bases accessibles publiquement ou de listes combinées issues de différents incidents. L’analyse montre que de nombreux mots de passe exposés répondent pourtant aux critères habituels (longueur et complexité), mais restent vulnérables face aux méthodes modernes d’attaque, comme l’ingénierie sociale, les attaques par dictionnaire ou l’utilisation de listes de mots de passe compromis.
Le mot de passe fort est un mythe si seules les règles classiques sont appliquées
Beaucoup d’organisations continuent de s’appuyer sur des politiques qui imposent longueur et diversité de caractères, mais ces règles ne suffisent pas à lutter contre :
- la réutilisation de mots de passe entre plusieurs services,
- les attaques automatisées utilisant des listes d’identifiants volés,
- les logiciels malveillants spécialisés qui récupèrent des mots de passe stockés localement.
Même des identifiants répondant aux critères standards peuvent être compromis si un mot de passe a déjà été divulgué ailleurs dans une fuite.
Cette situation illustre que la cybersécurité moderne ne peut plus se reposer uniquement sur des exigences statiques de mot de passe. Les cybercriminels exploitent des volumes massifs de données d’identifiants disponibles en ligne pour mener des attaques de prise de contrôle de compte ou de vol d’identité.
Comment améliorer réellement la protection des identifiants
Pour réduire le risque associé à ces volumes considérables de mots de passe compromis, voici des mesures concrètes que tout utilisateur et toute organisation devraient appliquer :
Comment améliorer réellement la protection des identifiants
Pour réduire le risque associé à ces volumes considérables de mots de passe compromis, voici des mesures concrètes que tout utilisateur et toute organisation devraient appliquer :
- Utiliser des gestionnaires de mots de passe pour générer et stocker des combinaisons uniques, longues et imprévisibles pour chaque compte.
- Activer l’authentification multifacteur (2FA ou MFA) lorsqu’elle est disponible pour ajouter une seconde couche de protection aux comptes.
- Bloquer l’usage des mots de passe connus comme compromis via des listes de compromission ou des outils spécialisés dans les politiques de mot de passe.
- Adopter des solutions modernes comme passkeys, qui remplacent les mots de passe classiques par des mécanismes cryptographiques plus robustes.
En conclusion
Les chiffres autour des mots de passe volés sont alarmants mais instructifs : ils montrent qu’en matière de cybersécurité, il faut aller au-delà des bonnes pratiques traditionnelles et adopter des stratégies de protection plus complètes et plus modernes. Le mot de passe, même long et complexe, n’est plus une barrière suffisante face à un paysage de menaces sophistiqué et fortement automatisé.
Source : Global Security Mag
